TryHackMe - Web - Include

Sugobet

于 2024-08-11 12:00:00 发布

阅读量538

点赞数 4

分类专栏：我的网络安全之旅-TryHackMe 文章标签： TryHackMe 渗透测试 Web安全网络安全

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接：https://blog.youkuaiyun.com/qq_54704239/article/details/141094565

版权

我的网络安全之旅-TryHackMe 专栏收录该内容

156 篇文章

订阅专栏

Include

使用服务器利用技能来控制 Web 应用程序。

外部主动信息收集

nmap

循例nmap

在这里插入图片描述

Web枚举

4000端口 - 目录扫描

feroxbuster扫

在这里插入图片描述

50000端口 - 目录扫描

feroxbuster扫

在这里插入图片描述

4000端口 - 越权

可以通过直接修改url的id访问到其它用户信息

在这里插入图片描述

不过这并没有提供更多信息，但有一个引人注目的字段属性isAdmin

但很遗憾我们已知的三个用户都不是admin

经过id枚举也依然没有枚举出更多用户

在这里插入图片描述

在profile的最下面有一个表单，随便输点东西并提交它，发现可以新增字段，并且可以修改原有的字段

在这里插入图片描述

那么接下来就是常规操作，直接修改guest的isAdmin字段为true，看看权限是否发生变化

在这里插入图片描述

当我们刷新页面后，我们的页面右上角将会出现我们期待的东西

在这里插入图片描述

SSRF

有个开在内网的api

在这里插入图片描述

在setting中可以看到可以设置url，服务端将访问url下载image

在这里插入图片描述

随手开个nc，没有问题

在这里插入图片描述

给个.php文件，发现它把文件内容读了出来，并且进行base64

在这里插入图片描述

那么思路也很显而易见了，直接访问internal api获取administrator的密码

在这里插入图片描述

有了它我们能够访问50000端口的sysmon，同时拿到第一个flag

在这里插入图片描述

LFI -> RCE

burp logger可以看到profile.png图片是通过文件包含出来的

但这里有过滤，不过只是简单的进行了两次的../replace，进行三次../就能绕过去

在这里插入图片描述

但没有日志

在这里插入图片描述

RCE

在最初的端口扫描中，存在smtp、pop3、imap那一堆服务，并且在最开始我尝试用户枚举但并没有什么结果

现在我们可以尝试读smtp的日志文件/var/log/mail.log

在这里插入图片描述

没有问题，接下来就是常规的登录恶意用户名达到控制log文件内容从而实现rce

在这里插入图片描述

php代码能够被解析

在这里插入图片描述

直接读flag下机

在这里插入图片描述

评论

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

打赏作者

Sugobet 你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20

扫码支付：¥1

获取中

扫码支付

您的余额不足，请更换扫码支付或充值

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。